Zero Trust Network Access (ZTNA)

[dangquangminh]

Hành trình bảo mật toàn diện từ người dùng chi nhánh on-premise đến ứng dụng SaaS/public Internet. Đây là một ví dụ rõ nét về cách tiếp cận Zero Trust Network Access (ZTNA) kết hợp với các lớp bảo mật endpoint, identity, và truy cập internet an toàn.

---

🔍 Phân tích kiến trúc bảo mật: Từ người dùng chi nhánh đến SaaS công cộng

1. Trusted Device & Endpoint Security


Hành trình bắt đầu từ một thiết bị đáng tin cậy của nhân viên chi nhánh. Trước khi có thể truy cập mạng, thiết bị này phải trải qua hàng loạt lớp bảo vệ cấp endpoint:

• Mobile Device Management (MDM): Quản lý thiết bị đầu cuối, đảm bảo chỉ thiết bị được quản trị mới được tham gia mạng.
• Anti-Virus / Anti-Malware: Phòng ngừa mã độc từ đầu nguồn.
• Device Health Connector: Kiểm tra tình trạng thiết bị như OS, bản vá, phần mềm bảo mật đang chạy.
• DNS & Web Security Connector: Bảo vệ khỏi các domain độc hại và nội dung web nguy hiểm, ngay từ cấp DNS.

---

2. Identity & Access Management (IAM)


Ngay cả khi thiết bị an toàn, thì người dùng vẫn cần xác thực và ủy quyền:

• Identity Authorization: Xác thực danh tính thông qua các cơ chế IAM.
• Identity Access Policy: Áp chính sách dựa trên nhóm, vị trí, vai trò.
• Tagging + Adaptive MFA (SAML/SSO): Định danh linh hoạt, bổ sung xác thực đa yếu tố theo ngữ cảnh (ví dụ: địa chỉ IP, thời gian, thiết bị).

➡️ Tất cả thông tin này góp phần vào ISPM (Identity Security Posture Management), đánh giá mức độ tin cậy tổng thể của danh tính.

---

3. Secure Internet Gateway (SIG) / Secure Access


Trước khi dữ liệu đi đến Internet hoặc SaaS, nó đi qua lớp gateway bảo mật – thành phần cốt lõi của mô hình SASE:

• Data Loss Prevention (DLP): Ngăn rò rỉ dữ liệu nhạy cảm.
• Malware Sandboxing: Phân tích hành vi file nghi ngờ trong môi trường ảo.
• Application Visibility Control (AVC): Kiểm soát lưu lượng theo ứng dụng cụ thể.
• Cloud Access Security Broker (CASB): Áp chính sách truy cập đến các ứng dụng SaaS.
• Network Anti-Malware: Quét lưu lượng mạng để phát hiện mã độc.
• Remote Browser Isolation (RBI): Cô lập quá trình duyệt web ở phía server.
• TLS/SSL Decryption: Giải mã traffic để kiểm tra nội dung bên trong.
• Web Filtering (Reputation & Category): Lọc nội dung và domain theo danh tiếng hoặc thể loại.
• Intrusion Prevention (IPS): Phát hiện và ngăn chặn tấn công mạng.
• Firewall & DNS Security: Lớp cuối kiểm soát traffic ra ngoài.

---

4. SD-WAN & Truy cập SaaS


Sau khi vượt qua lớp bảo mật, lưu lượng được tối ưu và định tuyến qua SD-WAN đến các ứng dụng công cộng (SaaS như O365, Salesforce, v.v.)

---

5. ITDR – Identity Threat Detection & Response


Trong suốt quá trình này, toàn bộ hoạt động liên quan đến danh tính, truy cập, hành vi người dùng... đều được theo dõi liên tục bởi ITDR – một khái niệm ngày càng quan trọng trong kiến trúc Zero Trust hiện đại.

ITDR cho phép:

• Phát hiện đăng nhập bất thường
• Giám sát di chuyển ngang (lateral movement)
• Can thiệp khi phát hiện rủi ro danh tính

---

🎯 Kết luận


Bức hình này mô tả một kiến trúc bảo mật đa tầng hiện đại, nơi mọi hành vi truy cập từ người dùng đến SaaS đều phải vượt qua lớp xác thực, kiểm tra thiết bị, gateway bảo mật và phân tích hành vi.

✅ Đáng chú ý là cách các khái niệm như:

• ZTNA
• Secure Internet Gateway
• SD-WAN
• CASB
• ITDR / ISPM
  được tích hợp liền mạch để bảo vệ toàn diện theo nguyên tắc Zero Trust: Không tin ai, xác minh tất cả.